Como construímos o Tempy.email com design que prioriza a privacidade
A maioria dos serviços de e-mail armazena suas mensagens em bancos de dados, indexa para busca, mantém backups e retém indefinidamente.
Nós fazemos o oposto: Tudo vive na memória. Quando seu temporizador expira, os dados desaparecem.
O problema de privacidade com o e-mail tradicional
Quando você usa Gmail, Outlook ou qualquer serviço de e-mail tradicional:
- E-mails armazenados em disco → Podem ser intimados judicialmente, vazados ou vendidos
- Indexados para busca → Cria metadados sobre suas comunicações
- Backup feito → Múltiplas cópias existem, aumentando a exposição
- Retidos indefinidamente → Seus e-mails de 10 anos atrás ainda existem
- Escaneados para anúncios → Conteúdo analisado para publicidade direcionada
- Logs mantidos → Endereços IP, timestamps, padrões de acesso rastreados
Você nunca deleta nada de verdade.
Mesmo se clicar em "excluir", os dados podem existir em:
- Fitas de backup
- Índices de busca
- Logs do servidor
- Arquivos de compliance
- Sistemas de retenção legal
Nossa abordagem: Arquitetura apenas em memória
O tempy.email é construído sobre um princípio: Se não está na RAM, não existe.
E-mail tradicional:
Usuário → Servidor web → Banco de dados → Disco → Backups → Arquivos
(Dados vivem para sempre)
tempy.email:
Usuário → Servidor web → Redis (apenas RAM) → Expira → Desapareceu
(Dados vivem 10 minutos)
Sem armazenamento persistente
O que NÃO temos:
- ❌ Sem PostgreSQL, MySQL ou qualquer banco de dados em disco
- ❌ Sem armazenamento de arquivos (S3, disco, NAS)
- ❌ Sem backups
- ❌ Sem arquivos
- ❌ Sem logs de conteúdo de e-mail
- ❌ Sem "exclusão suave" (marcar como excluído mas manter dados)
O que temos:
- ✅ Redis (armazenamento de chave-valor em memória)
- ✅ TTL (Time-To-Live) em cada chave
- ✅ Expiração automática
Como o armazenamento de e-mail funciona
Quando um e-mail chega:
// Armazenar e-mail no Redis com TTL
await redis.set(
`mailbox:${address}:emails`,
JSON.stringify(email),
'EX', 600 // Expira em 600 segundos (10 min)
);
Após 10 minutos:
- Redis deleta automaticamente a chave
- A memória é liberada
- Os dados desaparecem completamente (não marcados como excluídos, realmente desaparecidos)
Não há processo de "recuperação" porque não há nada de onde recuperar.
E os logs do servidor?
Minimizamos os logs:
Logs de servidor tradicionais:
2026-02-12 10:15:23 Usuário [email protected] logou de 203.0.113.5
2026-02-12 10:15:45 [email protected] abriu e-mail "Redefinição de senha"
2026-02-12 10:16:12 [email protected] excluiu 3 e-mails
Logs do tempy.email:
2026-02-12 10:15:23 Caixa de entrada criada (sem endereço de e-mail registrado)
2026-02-12 10:15:45 E-mail recebido (sem conteúdo registrado)
2026-02-12 10:25:23 Caixa de entrada expirada
Registramos eventos, não dados identificáveis.
Recursos de privacidade
1. Sem contas de usuário
Você não pode criar uma conta mesmo que quisesse:
- Sem formulário de cadastro
- Sem senhas
- Sem página "Minha conta"
- Sem banco de dados de usuários
Por quê: Contas criam identidade. Não queremos saber quem você é.
2. Sem rastreamento ou análise
Muitos serviços "focados em privacidade" ainda usam:
- Google Analytics
- Facebook Pixel
- Mixpanel
- Hotjar
Nós usamos: Nenhum dos acima.
Rastreamos apenas:
- Total de caixas de entrada criadas (contador)
- Total de e-mails processados (contador)
Não rastreamos:
- Quem os criou
- Quando foram criados
- De qual IP vieram
- Qual navegador foi usado
3. Sem escaneamento de conteúdo de e-mail
Nunca analisamos o conteúdo de e-mail para:
- Publicidade
- Treinamento de machine learning
- Detecção de padrões
- Classificação de conteúdo
Os e-mails passam pelo nosso sistema sem serem lidos por humanos ou algoritmos.
4. Sem registro de IP
Não registramos:
- Seu endereço IP
- Sua geolocalização
- Seu ISP
- Sua impressão digital do dispositivo
Por quê: Mesmo logs de IP "anonimizados" muitas vezes podem ser des-anonimizados por ataques de correlação.
5. Sem serviços de terceiros
Não usamos:
- CDNs que rastreiam (Cloudflare apenas em modo privacidade)
- Plataformas de análise
- Redes de anúncios
- Widgets de redes sociais
- Fontes de terceiros (Google Fonts servidas localmente)
Por quê: Cada serviço de terceiros é um potencial vazamento de dados.
Implementação técnica
Configuração do Redis
// Todas as chaves têm TTL por padrão
const DEFAULT_TTL = 600; // 10 minutos
// Chave da caixa de entrada
await redis.setex(
`mailbox:${address}`,
DEFAULT_TTL,
JSON.stringify({ created: Date.now() })
);
// Chave do e-mail
await redis.rpush(`mailbox:${address}:emails`, emailJson);
await redis.expire(`mailbox:${address}:emails`, DEFAULT_TTL);
Limpeza automática
O Redis lida com a expiração automaticamente:
T+0: E-mail chega → Armazenado no Redis
T+600s: TTL expira → Redis deleta a chave → Memória liberada
Sem cron jobs. Sem limpeza manual. Sem "exclusões suaves."
Sanitização de e-mail
Antes de armazenar e-mails, sanitizamos o HTML para prevenir:
- Ataques XSS
- Pixels de rastreamento
- Scripts maliciosos
- Vazamentos de privacidade
var sanitizer = new HtmlSanitizer();
sanitizer.AllowedTags = ["p", "a", "b", "i", "ul", "ol", "li"];
// Sem <img>, sem <script>, sem rastreamento
var cleanHtml = sanitizer.Sanitize(rawHtml);
O que não podemos acessar
Mesmo se quiséssemos (não queremos), fisicamente não podemos:
- Recuperar e-mails excluídos → Não existem backups
- Ver dados históricos → O TTL deleta tudo
- Rastrear comportamento de usuários → Não há logs para analisar
- Identificar usuários → Sem contas, sem IPs registrados
- Cumprir solicitações de dados → Não há dados para entregar
Isso não é uma decisão de política. É arquitetônico.
Compromissos que aceitamos
O design que prioriza a privacidade significa aceitar limitações:
NÃO podemos oferecer:
- ❌ Busca de e-mail (sem indexação)
- ❌ Armazenamento de longo prazo (10 min por padrão)
- ❌ Recuperação de e-mail (uma vez expirado, foi-se)
- ❌ Contas de usuário (não pode "salvar" caixas de entrada)
- ❌ Encaminhamento de e-mail para sua caixa real
Podemos oferecer:
- ✅ Privacidade completa
- ✅ Zero rastreamento
- ✅ Exclusão instantânea
- ✅ Sem risco de vazamento de dados (não há dados para vazar)
- ✅ Tranquilidade
Comparação com e-mail "focado em privacidade"
| Recurso | ProtonMail | Tutanota | tempy.email |
|---|---|---|---|
| Criptografia | ✅ E2E | ✅ E2E | ⚠️ Apenas em trânsito |
| Armazenamento permanente | ✅ Sim | ✅ Sim | ❌ Não (TTL 10 min) |
| Contas de usuário | ✅ Sim | ✅ Sim | ❌ Sem contas |
| Risco de intimação judicial | ⚠️ Dados criptografados existem | ⚠️ Dados criptografados existem | ✅ Sem dados para intimar |
| Registro de IP | ⚠️ Opcional | ⚠️ Opcional | ❌ Nunca |
| Caso de uso | E-mail privado permanente | E-mail privado permanente | Descartável/testes |
ProtonMail e Tutanota são excelentes para e-mail privado permanente.
O tempy.email é para uso descartável onde você não quer que dados existam de forma alguma.
Resumindo
A maioria dos serviços diz: "Não olharemos seus dados" Nós dizemos: "Não podemos olhar seus dados (eles não existem tempo suficiente)"
A maioria dos serviços diz: "Deletaremos se você pedir" Nós dizemos: "Se auto-deletam em 10 minutos, peça ou não"
A maioria dos serviços diz: "Somos focados em privacidade" Nós dizemos: "Privacidade é nossa arquitetura"
Isso é privacidade por design, não privacidade por política.
Experimente: Gere um endereço temporário e veja por si mesmo. Em 10 minutos, esse e-mail terá desaparecido para sempre. Não "arquivado." Não "excluído." Desaparecido.